Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Virus
Viry se replikují na prostředcích místního počítače.Na rozdíl od červů, viry nepoužívají síťové služby k šíření nebo pronikání do jiných počítačů. Kopie viru dosáhne vzdálených počítačů pouze v případě, že infikovaný objekt je z nějakého důvodu nesouvisející s virální funkcí aktivován na jiném počítači. Například:
když infikuje dostupné disky, virus proniká do souboru umístěného na síťovém zdroji
virus se zkopíruje na vyměnitelné úložné zařízení nebo infikuje soubor na vyměnitelném zařízení
uživatel pošle e-mail s infikovanou přílohou.
Platfoma: MSOffice
Microsoft Office je multiplatformní sada aplikací pro produktivitu publikovaných společností Microsoft. Aplikace sady Office jsou kompatibilní s mnoha typy souborů a obsahu.Popis
Technické údaje
Když je virus aktivován z infikovaného dokumentu aplikace Word, nejprve zakáže antivirovou ochranu aplikace Word a zkontroluje šablonu NORMAL.DOT a poté vyhledá přítomnost viru v ní. Pokud tento soubor ještě není infikován, virus považuje systém za neinfikovaný a začne zadávat další komponenty sady Office. Tyto operace obsahují tři kroky: Word Infection, Excel Infection a PowerPoint infekce.
1. Slovo infekce je nejjednodušší operace v tomto viru. Prostě zkopíruje svůj kód z aktuálního dokumentu do normální šablony (NORMAL.DOT).
2. Infekce aplikace Excel je složitější. V první řadě virus spustí novou instanci aplikace Excel pomocí funkce CreateObject ("Excel.Application"). Virus pak zkontroluje soubor BOOK1 ve složce spouštěcí aplikace Excel. V případě, že tento soubor není přítomen, virus infikuje aplikaci Excel. Během této doby virus zakáže antivirovou ochranu aplikace Excel v registru systému, vytvoří nový pracovní knihu, zkopíruje svůj vlastní kód a uloží soubor BOOK1 do spouštěcí složky aplikace Excel. Každá tabulka z této složky je automaticky načtena při spuštění aplikace Excel a v důsledku toho je aplikace Excel infikována při dalším restartování.
3. Infekce aplikace PowerPoint je zcela stejná jako u aplikace Excel: virus vytvoří novou instanci aplikace PowerPoint, zkontroluje prezentaci s názvem Blank Presentation.pot ve složce šablon PowerPoint a pokusí se najít v něm modul nazvaný 'Triplicate' . Pokud tento modul není přítomen, virus infikuje aplikace PowerPoint: zakáže antivirovou ochranu v registru systému, vytvoří v modulu Blank Presentation.pot nový modul "Triplicate" a zkopíruje do něj kód viru. Poté virus přidá do prezentace novou "tvar" s šířkou a výškou shodnou s šířkou a výškou snímku a nastaví aktivační proceduru pro tento tvar na "actionhook ()" (Tento postup se aktivuje, když je uživatel klikne na tento tvar).
Nakonec virus kontroluje aktuální infekci dokumentu aplikace Word a infikuje ji, pokud ještě nebyl infikován. Tato část virové rutiny se provádí pouze v případě, že je virus načten z infikované šablony a nový neinfikovaný dokument je uzavřen.
Infekce pomocí tabulek a prezentací
Postupy aplikace Excel a PowerPoint jsou zcela stejné, s výjimkou některých drobných detailů.
Soubor BOOK1 ve složce spouštěcího programu aplikace Excel používá virus jako identifikátor infikované sady Office. Takže virus nejdříve hledá tento soubor a infikuje aplikace Office, pokud tento soubor neexistuje. Poté se virus pokusí infikovat aplikaci Word.
1. Virus získá objekty "Word.Application". Virus používá jinou funkci k získání objektu. Namísto CreateObjects () virus používá funkci GetObject (). Tato funkce získává objekty z aktuálně aktivní instance aplikace. Virus potřebuje infikovat NORMAL.DOT, který nemůže být zpřístupněn pro psaní, pokud je již otevřen jinou instancí aplikace Word. Pokud je aplikace Word v tuto chvíli neaktivní, virus právě vytvořil nový vzorek aplikace Word.
Při spuštění aplikace Word začne virus rozšiřovat rutinu. Vymaže celý kód v normální šabloně, vytvoří proceduru "DisableAV ()" a zkopíruje blok kódu viru, provede a vymaže kód. Tento krátký (pouhých osm řádků) postup zakáže antivirovou ochranu aplikace Excel a PowerPoint. Pak virus zkopíruje kód z infikovaného souboru do normální šablony. Slovní infekce je dokončena.
2. V této fázi jsou infikovány aplikace aplikace Excel a aplikace PowerPoint. Virus infikuje spouštěcí složku aplikace Excel z prezentace aplikace PowerPoint nebo vkládá kód do šablony PowerPoint přesně tak, jak je popsáno výše, když se virus šíří z infikovaného dokumentu aplikace Word.
Procedura aktivace aplikace PowerPoint obsahuje další podrobnosti: virus aktivuje kód infekce v závislosti na náhodném čítači systému.
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com